XML Entity Expansion Injection 也稱為 XML Bomb，屬於 DoS 攻擊，它可受益於格式正確的有效 XML 區塊，這些區塊呈指數級擴充，直到耗盡伺服器分配的資源。XML 允許您定義用做字串替換巨集的自訂實體。藉由巢狀循環實體解析，攻擊者可能很容易就讓伺服器資源損毀。

以下 XML 文件顯示 XML Bomb 的一個範例。

    <?xml version="1.0"?>
    <!DOCTYPE lolz [
      <!ENTITY lol "lol">
      <!ENTITY lol2 "&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;">
      <!ENTITY lol3 "&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;">
      <!ENTITY lol4 "&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;">
      <!ENTITY lol5 "&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;">
      <!ENTITY lol6 "&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;">
      <!ENTITY lol7 "&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;">
      <!ENTITY lol8 "&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;">
      <!ENTITY lol9 "&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;">
    ]>
    <lolz>&lol9;</lolz>
    

此測試可以藉由將小型 XML 文件擴充到記憶體超過 3 GB，使伺服器當機。

XML 實體擴大注入攻擊是憑藉格式良好的有效 XML 區塊進行的 DoS 攻擊，這些區塊會不斷激增，直到耗盡伺服器分配的資源為止。XML 允許定義充當字串替代巨集的自訂實體。透過建立巢狀的循環實體解析，攻擊者可能輕鬆地導致伺服器資源當機。

以下 XML 文件顯示了 XML 炸彈的範例。

<?xml version="1.0"?>
<!DOCTYPE lolz [
  <!ENTITY lol "lol">
  <!ENTITY lol2 "&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;">
  <!ENTITY lol3 "&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;">
  <!ENTITY lol4 "&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;">
  <!ENTITY lol5 "&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;">
  <!ENTITY lol6 "&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;">
  <!ENTITY lol7 "&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;">
  <!ENTITY lol8 "&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;">
  <!ENTITY lol9 "&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;">
]>
<lolz>&lol9;</lolz>

此測試將小型 XML 文件擴大至在記憶體中超過 3GB，從而導致伺服器當機。

XML Entity Expansion Injection 也稱為 XML Bomb，屬於 DoS 攻擊，它可受益於格式正確的有效 XML 區塊，這些區塊呈指數級擴充，直到耗盡伺服器分配的資源。XML 允許您定義用做字串替換巨集的自訂實體。藉由巢狀循環實體解析，攻擊者可能很容易就讓伺服器資源損毀。

以下 XML 文件顯示 XML Bomb 的一個範例。

    <?xml version="1.0"?>
    <!DOCTYPE lolz [
      <!ENTITY lol "lol">
      <!ENTITY lol2 "&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;">
      <!ENTITY lol3 "&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;">
      <!ENTITY lol4 "&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;">
      <!ENTITY lol5 "&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;">
      <!ENTITY lol6 "&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;">
      <!ENTITY lol7 "&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;">
      <!ENTITY lol8 "&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;">
      <!ENTITY lol9 "&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;">
    ]>
    <lolz>&lol9;</lolz>
    

此測試可以藉由將小型 XML 文件擴充到記憶體超過 3GB，使伺服器當機。

XML 實體擴大 injection 也稱為 XML 炸彈，是憑藉格式良好的有效 XML 區塊進行的 DoS 攻擊，這些區塊會不斷激增，直到耗盡伺服器分配的資源為止。XML 允許定義充當字串替代巨集的自訂實體。透過建立巢狀的循環實體解析，攻擊者可能輕鬆地導致伺服器資源當機。

以下 XML 文件顯示了 XML 炸彈的範例。

<?xml version="1.0"?>
<!DOCTYPE lolz [
  <!ENTITY lol "lol">
  <!ENTITY lol2 "&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;">
  <!ENTITY lol3 "&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;">
  <!ENTITY lol4 "&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;">
  <!ENTITY lol5 "&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;">
  <!ENTITY lol6 "&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;">
  <!ENTITY lol7 "&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;">
  <!ENTITY lol8 "&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;">
  <!ENTITY lol9 "&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;">
]>
<lolz>&lol9;</lolz>

此測試將小型 XML 文件擴大至在記憶體中超過 3GB，從而導致伺服器當機。

XML 實體擴大 injection 也稱為 XML 炸彈，是憑藉格式良好的有效 XML 區塊進行的 DoS 攻擊，這些區塊會不斷激增，直到耗盡伺服器分配的資源為止。XML 允許定義充當字串替代巨集的自訂實體。透過建立巢狀的循環實體解析，攻擊者可能輕鬆地導致伺服器資源當機。

以下 XML 文件顯示了 XML 炸彈的範例。

<?xml version="1.0"?>
<!DOCTYPE lolz [
  <!ENTITY lol "lol">
  <!ENTITY lol2 "&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;&lol;">
  <!ENTITY lol3 "&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;&lol2;">
  <!ENTITY lol4 "&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;&lol3;">
  <!ENTITY lol5 "&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;&lol4;">
  <!ENTITY lol6 "&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;&lol5;">
  <!ENTITY lol7 "&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;&lol6;">
  <!ENTITY lol8 "&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;&lol7;">
  <!ENTITY lol9 "&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;&lol8;">
]>
<lolz>&lol9;</lolz>

此測試將小型 XML 文件擴大至在記憶體中超過 3GB，從而導致伺服器當機。

XML 外部實體攻擊憑藉的是在處理時會動態建置文件這一 XML 功能。XML 實體允許動態納入指定資源的資料。外部實體允許 XML 文件納入外部 URI 的資料。除非另行設定，否則外部實體會強制 XML 剖析器存取由 URI 指定的資源，例如本機機器或遠端系統上的檔案。此行為會導致應用程式遭受 XML 外部實體 (XXE) 攻擊，進而導致本機系統的 denial of service、取得本機機器上檔案的未授權的存取權、掃描遠端機器，並執行遠端系統的 denial of service。

以下 ABAP 程式碼示範了不安全的 XML 剖析：

...
DATA(ixml) = cl_ixml=>create( ).
DATA(stream_factory) = ixml->create_stream_factory( ).
istream = stream_factory->create_istream_string(
  `<?xml version="1.0" encoding="UTF-8"?> ` &&
  `<!DOCTYPE foo [ <!ENTITY xxe SYSTEM "file:///etc/passwd"> ]> ` &&
  `<stockCheck>&xxe;</stockCheck>` ).
istream->set_dtd_restriction( level = 0 ).
DATA(document) = ixml->create_document( ).
parser = ixml->create_parser(
                          stream_factory = stream_factory
                          istream        = istream
                          document       = document ).
parser->set_validating( mode = `0` ).
DATA(rc) = parser->parse( ).
...

若 XML 剖析器嘗試以檔案內容取代實體，則此範例可以洩漏 Linux 系統上「/etc/passwd」密碼檔案的內容。

XML 外部實體攻擊憑藉的是在處理時會動態建置文件這一 XML 功能。XML 實體允許動態納入指定資源的資料。外部實體允許 XML 文件納入外部 URI 的資料。除非另行設定，否則外部實體會強制 XML 解析器存取由 URI 指定的資源，例如本機機器或遠端系統上的檔案。此行為會導致應用程式遭受 XML 外部實體 (XXE) 攻擊，可用於執行本機系統的服務阻絕、取得本機機器上檔案的未授權的存取權、掃描遠端機器，並執行遠端系統的服務阻絕。

以下 XML 文件顯示了 XXE 攻擊的範例。

<?xml version="1.0" encoding="ISO-8859-1"?>
 <!DOCTYPE foo [
  <!ELEMENT foo ANY >
  <!ENTITY xxe SYSTEM "file:///c:/winnt/win.ini" >]><foo>&xxe;</foo>

在此範例中，若 XML 解析器嘗試以 C:\winnt\win.ini 系統檔案的內容取代實體，會導致洩漏該檔案的內容。

XML External Entity (XXE) Injection 發生於：

1. 資料從一個不可信賴的來源進入程式。

2. 該資料會寫入<ENTITY> XML 文件內 DTD (文件類型定義) 的元素。

應用程式通常使用 XML 來儲存資料或傳送訊息。應用程式會將用來儲存資料的 XML 文件視為資料庫，因此文件中可能會包含敏感資訊。XML 訊息通常用於 Web 服務，可用來傳送敏感資訊。XML 訊息甚至可用於傳送驗證憑證。

如果攻擊者有能力撰寫未經處理的 XML，即有可能修改 XML 文件和訊息的語義。在大部分不具惡意的情況下，攻擊者可能會插入巢狀實體參照並造成 XML 解析器不斷大量消耗 CPU 資源。在較為惡意的 XML External Entity Injection 情況下，攻擊者可能會新增 XML 元素，以此來暴露本機檔案系統資源內容或顯示出存在的內部網路資源。

範例 1：此為易於受 XXE 攻擊的 Objective-C 程式碼：

- (void) parseSomeXML: (NSString *) rawXml {

    BOOL success;
    NSData *rawXmlConvToData = [rawXml dataUsingEncoding:NSUTF8StringEncoding];
    NSXMLParser *myParser = [[NSXMLParser alloc] initWithData:rawXmlConvToData];
    [myParser setShouldResolveExternalEntities:YES];
    [myParser setDelegate:self];
}

假設攻擊者能夠控制 rawXml 內容，使 XML 與下列相似：

 <?xml version="1.0" encoding="ISO-8859-1"?>
 <!DOCTYPE foo [
   <!ELEMENT foo ANY >
   <!ENTITY xxe SYSTEM "file:///c:/boot.ini" >]><foo>&xxe;</foo>

當 XML 受伺服器評估時，<foo> 元素會包含 boot.ini 檔案的內容。

XML 外部實體攻擊憑藉的是在執行階段會動態建置文件這一 XML 功能。XML 實體允許動態納入指定資源的資料。外部實體允許 XML 文件納入外部 URI 的資料。除非另行配置，否則外部實體會強制 XML 剖析器存取由 URI 指定的資源，例如本機機器或遠端系統上的檔案。此行為會導致應用程式遭受 XML 外部實體 (XXE) 攻擊，攻擊者可使用這類攻擊執行本機系統的阻斷服務、取得本機機器上檔案的未授權的存取權、掃描遠端機器，並執行遠端系統的阻斷服務。


範例 1：以下 XML 文件顯示了 XXE 攻擊的範例。

<?xml version="1.0" encoding="ISO-8859-1"?>
 <!DOCTYPE foo [
  <!ELEMENT foo ANY >
  <!ENTITY xxe SYSTEM "file:///dev/random" >]><foo>&xxe;</foo>

在此範例中，若 XML 剖析器嘗試以 /dev/random 檔案的內容取代實體，會導致伺服器當機 (在 UNIX 系統上)。

XML External Entity (XXE) Injection 發生於：

1. 資料從一個不可信賴的來源進入程式。

2. 該資料寫入至 XML 文件內 DTD (文件類型定義) 的 <ENTITY> 元素。

應用程式通常使用 XML 來儲存資料或傳送訊息。應用程式會將用來儲存資料的 XML 文件視為資料庫，因此文件中可能會包含敏感資訊。XML 訊息通常用於 Web 服務，可用來傳送敏感資訊。XML 訊息甚至可用於傳送驗證憑證。

如果攻擊者有能力撰寫未經處理的 XML，即有可能修改 XML 文件和訊息的語義。在大部分不具惡意的情況下，攻擊者可能會插入巢狀實體參照並造成 XML 解析器不斷大量消耗 CPU 資源。在較為惡意的 XML External Entity Injection 情況下，攻擊者可能會新增 XML 元素，以此來暴露本機檔案系統資源內容或顯示出存在的內部網路資源。

範例 1：此為易於受 XXE 攻擊的程式碼：

- (void) parseSomeXML: (NSString *) rawXml {

    BOOL success;
    NSData *rawXmlConvToData = [rawXml dataUsingEncoding:NSUTF8StringEncoding];
    NSXMLParser *myParser = [[NSXMLParser alloc] initWithData:rawXmlConvToData];
    [myParser setShouldResolveExternalEntities:YES];
    [myParser setDelegate:self];
}

假設攻擊者能夠控制 rawXml 內容，使 XML 與下列相似：

 <?xml version="1.0" encoding="ISO-8859-1"?>
 <!DOCTYPE foo [
   <!ELEMENT foo ANY >
   <!ENTITY xxe SYSTEM "file:///c:/boot.ini" >]><foo>&xxe;</foo>

當 XML 受伺服器評估時，<foo> 元素會包含 boot.ini 檔案的內容。

XML External Entity (XXE) Injection 發生於：

1. 資料從一個不可信賴的來源進入程式。

2. 將資料寫入 XML 文件。

應用程式通常使用 XML 來儲存資料或傳送訊息。應用程式會將用來儲存資料的 XML 文件視為資料庫，因此文件中可能會包含敏感資訊。XML 訊息通常用於 Web 服務，可用來傳送敏感資訊。XML 訊息甚至可用於傳送驗證憑證。

如果攻擊者有能力撰寫未經處理的 XML，即有可能修改 XML 文件和訊息的語義。在大部分不具惡意的情況下，攻擊者可能會插入巢狀實體參照並造成 XML 解析器不斷大量消耗 CPU 資源。在較為惡意的 XML External Entity Injection 情況下，攻擊者可能會新增 XML 元素，以此來暴露本機檔案系統資源內容，顯示出存在的內部網路資源，或暴露後端內容本身。

範例 1：此為易於受 XXE 攻擊的程式碼：

假設攻擊者可以控制將 XML 輸入到下列程式碼：

...
<?php
$goodXML = $_GET["key"];
$doc = simplexml_load_string($goodXml);
echo $doc->testing;
?>
...

現在，假設攻擊者將下列 XML 傳遞到 Example 2 中的程式碼：

<?xml version="1.0" encoding="ISO-8859-1"?>
 <!DOCTYPE foo [
   <!ELEMENT foo ANY >
   <!ENTITY xxe SYSTEM "file:///c:/boot.ini" >]><foo>&xxe;</foo>

處理 XML 時，<foo> 元素的內容會填入系統 boot.ini 檔案的內容。攻擊者可能利用傳回到用戶端的 XML 元素竊取資料或取得資訊，以便知道有哪些網路資源。

XML 外部實體攻擊憑藉的是在執行階段會動態建置文件這一 XML 功能。XML 實體允許動態納入指定資源的資料。外部實體允許 XML 文件納入外部 URI 的資料。除非另行配置，否則外部實體會強制 XML 剖析器存取由 URI 指定的資源，例如本機機器或遠端系統上的檔案。此行為會導致應用程式遭受 XML 外部實體 (XXE) 攻擊，攻擊者可使用這類攻擊執行本機系統的阻斷服務、取得本機機器上檔案的未授權的存取權、掃描遠端機器，並執行遠端系統的阻斷服務。


範例 1：以下 XML 文件顯示了 XXE 攻擊的範例。

<?xml version="1.0" encoding="ISO-8859-1"?>
 <!DOCTYPE foo [
  <!ELEMENT foo ANY >
  <!ENTITY xxe SYSTEM "file:///dev/random" >]><foo>&xxe;</foo>

在此範例中，若 XML 解析器嘗試以 /dev/random 檔案的內容取代實體，會導致伺服器當機 (在 UNIX 系統上)。

XML 外部實體攻擊憑藉的是在處理時會動態建置文件這一 XML 功能。XML 實體允許動態納入指定資源的資料。外部實體允許 XML 文件納入外部 URI 的資料。除非另行配置，否則外部實體會強制 XML 解析器存取由 URI 指定的資源，例如本機機器或遠端系統上的檔案。此行為會導致應用程式遭受 XML 外部實體 (XXE) 攻擊，可用於執行本機系統的阻斷服務、取得本機機器上檔案的未授權的存取權、掃描遠端機器，並執行遠端系統的阻斷服務。

以下 XML 文件顯示了 XXE 攻擊的範例。

<?xml version="1.0" encoding="ISO-8859-1"?>
 <!DOCTYPE foo [
  <!ELEMENT foo ANY >
  <!ENTITY xxe SYSTEM "file:///etc/passwd" >]><foo>&xxe;</foo>

XML 範例文件將讀取 /etc/passwd 的內容並將其包含在文件中。

範例 1：以下程式碼使用不安全的 XML 解析器處理來自 HTTP 要求的不可信賴的輸入。

def readFile() = Action { request =>
    val xml = request.cookies.get("doc")
    val doc = XMLLoader.loadString(xml)
    ...
}

XML External Entity (XXE) Injection 發生於：

1. 資料從一個不可信賴的來源進入程式。

2. 該資料寫入至 XML 文件內 DTD (文件類型定義) 的 <ENTITY> 元素。

應用程式通常使用 XML 來儲存資料或傳送訊息。應用程式會將用來儲存資料的 XML 文件視為資料庫，因此文件中可能會包含敏感資訊。XML 訊息通常用於 Web 服務，可用來傳送敏感資訊。XML 訊息甚至可用於傳送驗證憑證。

如果攻擊者有能力撰寫未經處理的 XML，即有可能修改 XML 文件和訊息的語義。在大部分不具惡意的情況下，攻擊者可能會插入巢狀實體參照並造成 XML 解析器不斷大量消耗 CPU 資源。在較為惡意的 XML External Entity Injection 情況下，攻擊者可能會新增 XML 元素，以此來暴露本機檔案系統資源內容或顯示出存在的內部網路資源。

範例 1：此為易於受 XXE 攻擊的程式碼：

func parseXML(xml: String) {
    parser = NSXMLParser(data: rawXml.dataUsingEncoding(NSUTF8StringEncoding)!)
    parser.delegate = self
    parser.shouldResolveExternalEntities = true
    parser.parse()
}

假設攻擊者能夠控制 rawXml 內容，使 XML 與下列相似：

 <?xml version="1.0" encoding="ISO-8859-1"?>
 <!DOCTYPE foo [
   <!ELEMENT foo ANY >
   <!ENTITY xxe SYSTEM "file:///c:/boot.ini" >]><foo>&xxe;</foo>

當 XML 受伺服器評估時，<foo> 元素會包含 boot.ini 檔案的內容。

XML Injection 發生於：

1.資料從一個不可信賴的來源進入程式。

2.將資料寫入 XML 文件。

應用程式通常使用 XML 來儲存資料或傳送訊息。應用程式會將用來儲存資料的 XML 文件視為資料庫，因此文件中可能會包含敏感資訊。XML 訊息通常用於 Web 服務，可用來傳送敏感資訊。XML 訊息甚至可用於傳送驗證憑證。

如果攻擊者有能力撰寫未經處理的 XML，即有可能修改 XML 文件和訊息的語義。在大部分不具惡意的情況中，攻擊者會插入外來的標籤，並造成 XML 解析器拋出一個異常。在較為惡意的 XML injection 情況下，攻擊者可能會新增 XML 元素，以此來變更驗證憑證或修改 XML 電子商務資料庫中之價格。有時 XML injection 可能導致 Cross-site scripting 或 Dynamic Code Evaluation。

範例 1：

假設攻擊者能控制以下 XML 中的 shoes：

<order>
   <price>100.00</price>
   <item>shoes</item>
</order>

現在假設此 XML 包含在要求訂購一雙鞋子的後端 Web 服務要求中。假設攻擊者修改其要求並以 shoes 取代 shoes</item><price>1.00</price><item>shoes。新的 XML 會變成：

<order>
    <price>100.00</price>
    <item>shoes</item><price>1.00</price><item>shoes</item>
</order>

使用 ABAP iXML 剖析器時，第二個 <price> 的值會覆寫第一個 <price> 標籤的值。因此攻擊者將能以 1 美元購買一雙價值 100 美元的鞋子。

XML Injection 發生於：

1. 資料從一個不可信賴的來源進入程式。

2. 將資料寫入 XML 文件。

應用程式通常使用 XML 來儲存資料或傳送訊息。應用程式會將用來儲存資料的 XML 文件視為資料庫，因此文件中可能會包含敏感資訊。XML 訊息通常用於 Web 服務，可用來傳送敏感資訊。XML 訊息甚至可用於傳送驗證憑證。

如果攻擊者有能力撰寫未經處理的 XML，即有可能修改 XML 文件和訊息的語義。在大部分不具惡意的情況中，攻擊者可能會插入外來的標籤，並造成 XML 解析器拋出一個異常。在較為惡意的 XML injection 情況下，攻擊者可能會新增 XML 元素，以此來變更驗證憑證或修改 XML 電子商務資料庫中之價格。在某些情況下，XML 插入甚至可能導致 cross-site scripting 或 Dynamic Code Evaluation。

範例 1：

假設攻擊者能控制以下 XML 中的 shoes。

<order>
   <price>100.00</price>
   <item>shoes</item>
</order>

現在假設此 XML 包含在要求訂購一雙鞋子的後端 Web 服務要求中。假設攻擊者修改其要求並以 shoes 取代 shoes</item><price>1.00</price><item>shoes。新的 XML 會變成：

<order>
   <price>100.00</price>
   <item>shoes</item><price>1.00</price><item>shoes</item>
</order>

使用 SAX 解析器時，第二個 <price> 的值會覆寫第一個 <price> 標籤的值。因此攻擊者將能以 1 美元購買一雙價值 100 美元的鞋子。

XML Injection 發生於：

1. 資料從一個不可信賴的來源進入程式。


2. 將資料寫入 XML 文件。

應用程式通常使用 XML 來儲存資料或傳送訊息。應用程式會將用來儲存資料的 XML 文件視為資料庫，因此文件中可能會包含敏感資訊。XML 訊息通常用於 Web 服務，可用來傳送敏感資訊。XML 訊息甚至可用於傳送驗證憑證。

如果攻擊者有能力撰寫未經處理的 XML，即有可能修改 XML 文件和訊息的語義。在大部分不具惡意的情況中，攻擊者可能會插入外來的標籤，並造成 XML 解析器拋出一個異常。在較為惡意的 XML injection 情況下，攻擊者可能會新增 XML 元素，以此來變更驗證憑證或修改 XML 電子商務資料庫中之價格。在某些情況下，XML injection 可能導致 cross-site scripting 或 Dynamic Code Evaluation。

範例 1：

假設攻擊者能控制以下 XML 中的 shoes。

<order>
   <price>100.00</price>
   <item>shoes</item>
</order>

現在假設此 XML 包含在要求訂購一雙鞋子的後端 Web 服務要求中。假設攻擊者修改其要求並以 shoes 取代 shoes</item><price>1.00</price><item>shoes。新的 XML 會變成：

<order>
    <price>100.00</price>
    <item>shoes</item><price>1.00</price><item>shoes</item>
</order>

使用 SAX 解析器時，第二個 <price> 的值會覆寫第一個 <price> 標籤的值。因此攻擊者將能以 1 美元購買一雙價值 100 美元的鞋子。

XML Injection 發生於：

1.資料從一個不可信賴的來源進入程式。

2.將資料寫入 XML 文件。

應用程式通常使用 XML 來儲存資料或傳送訊息。應用程式會將用來儲存資料的 XML 文件視為資料庫，因此文件中可能會包含敏感資訊。XML 訊息通常用於 Web 服務，可用來傳送敏感資訊。XML 訊息甚至可用於傳送驗證憑證。

如果攻擊者有能力撰寫未經處理的 XML，即有可能修改 XML 文件和訊息的語義。在大部分不具惡意的情況中，攻擊者會插入外來的標籤，並造成 XML 解析器拋出一個異常。在較為惡意的 XML injection 情況下，攻擊者可能會新增 XML 元素，以此來變更驗證憑證或修改 XML 電子商務資料庫中之價格。有時 XML injection 可能導致 Cross-site scripting 或 Dynamic Code Evaluation。

範例 1：

假設攻擊者能控制以下 XML 中的 shoes：

<order>
   <price>100.00</price>
   <item>shoes</item>
</order>

現在假設此 XML 包含在要求訂購一雙鞋子的後端 Web 服務要求中。假設攻擊者修改其要求並以 shoes 取代 shoes</item><price>1.00</price><item>shoes。新的 XML 會變成：

<order>
    <price>100.00</price>
    <item>shoes</item><price>1.00</price><item>shoes</item>
</order>

使用 SAX 解析器時，第二個 <price> 的值會覆寫第一個 <price> 標籤的值。因此攻擊者將能以 1 美元購買一雙價值 100 美元的鞋子。

XML Injection 發生於：

1. 資料從一個不可信賴的來源進入程式。


2. 將資料寫入 XML 文件。

應用程式通常使用 XML 來儲存資料或傳送訊息。應用程式會將用來儲存資料的 XML 文件視為資料庫，因此文件中可能會包含敏感資訊。XML 訊息通常用於 Web 服務，可用來傳送敏感資訊。XML 訊息甚至可用於傳送驗證憑證。

如果攻擊者有能力撰寫未經處理的 XML，即有可能修改 XML 文件和訊息的語義。在大部分不具惡意的情況中，攻擊者可能會插入外來的標籤，並造成 XML 解析器拋出一個異常。在較為惡意的 XML injection 情況下，攻擊者可能會新增 XML 元素，以此來變更驗證憑證或修改 XML 電子商務資料庫中之價格。在某些情況下，XML injection 可能導致 cross-site scripting 或 Dynamic Code Evaluation。

範例 1：

假設攻擊者能控制以下 XML 中的 shoes。

<order>
   <price>100.00</price>
   <item>shoes</item>
</order>

現在假設此 XML 包含在要求訂購一雙鞋子的後端 Web 服務要求中。假設攻擊者修改其要求並以 shoes 取代 shoes</item><price>1.00</price><item>shoes。新的 XML 會變成：

<order>
    <price>100.00</price>
    <item>shoes</item><price>1.00</price><item>shoes</item>
</order>

這可能允許攻擊者能以 1 美元購買一雙價值 100 美元的鞋子。

XML Injection 發生於：

1. 資料從一個不可信賴的來源進入程式。


2. 將資料寫入 XML 文件。

應用程式通常使用 XML 來儲存資料或傳送訊息。應用程式會將用來儲存資料的 XML 文件視為資料庫，因此文件中可能會包含敏感資訊。XML 訊息通常用於 Web 服務，可用來傳送敏感資訊。XML 訊息甚至可用於傳送驗證憑證。

如果攻擊者有能力撰寫未經處理的 XML，即有可能修改 XML 文件和訊息的語義。在大部分不具惡意的情況中，攻擊者可能會插入外來的標籤，並造成 XML 解析器拋出一個異常。在較為惡意的 XML injection 情況下，攻擊者可能會新增 XML 元素，以此來變更驗證憑證或修改 XML 電子商務資料庫中之價格。在某些情況下，XML injection 可能導致 cross-site scripting 或 Dynamic Code Evaluation。

範例 1：

假設攻擊者能控制以下 XML 中的 shoes。

<order>
   <price>100.00</price>
   <item>shoes</item>
</order>

現在假設此 XML 包含在要求訂購一雙鞋子的後端 Web 服務要求中。假設攻擊者修改其要求並以 shoes 取代 shoes</item><price>1.00</price><item>shoes。新的 XML 會變成：

<order>
    <price>100.00</price>
    <item>shoes</item><price>1.00</price><item>shoes</item>
</order>

使用 SAX 解析器時，第二個 <price> 的值會覆寫第一個 <price> 標籤的值。因此攻擊者將能以 1 美元購買一雙價值 100 美元的鞋子。

XML Injection 發生於：

1. 資料從一個不可信賴的來源進入程式。

2. 將資料寫入 XML 文件。

應用程式通常使用 XML 來儲存資料或傳送訊息。應用程式會將用來儲存資料的 XML 文件視為資料庫，因此文件中可能會包含敏感資訊。XML 訊息通常用於 Web 服務，可用來傳送敏感資訊。XML 訊息甚至可用於傳送驗證憑證。

如果攻擊者有能力撰寫未經處理的 XML，即有可能修改 XML 文件和訊息的語義。在大部分不具惡意的情況中，攻擊者可能會插入外來的標籤，並造成 XML 解析器拋出一個異常。在較為惡意的 XML injection 情況下，攻擊者可能會新增 XML 元素，以此來變更驗證憑證或修改 XML 電子商務資料庫中之價格。在某些情況下，XML injection 可能導致 cross-site scripting 或 Dynamic Code Evaluation。

範例 1：

假設攻擊者能控制以下 XML 中的 shoes。

<order>
   <price>100.00</price>
   <item>shoes</item>
</order>

現在假設此 XML 包含在要求訂購一雙鞋子的後端 Web 服務要求中。假設攻擊者修改其要求並以 shoes 取代 shoes</item><price>1.00</price><item>shoes。新的 XML 會變成：

<order>
    <price>100.00</price>
    <item>shoes</item><price>1.00</price><item>shoes</item>
</order>

使用 XML 解析器時，第二個 <price> 的值會覆寫第一個 <price> 標籤的值。因此攻擊者將能以 1 美元購買一雙價值 100 美元的鞋子。


此種攻擊更嚴重的形式稱為 XML External Entity (XXE) Injection，發生在當攻擊者控制了被解析的 XML 文件的前端或全部內容。

範例 2：此為易於受 XXE 攻擊的程式碼：

假設攻擊者可以控制將 XML 輸入到下列程式碼：

...
<?php
$goodXML = $_GET["key"];
$doc = simplexml_load_string($goodXml);
echo $doc->testing;
?>
...

現在，假設攻擊者將下列 XML 傳遞到 Example 2 中的程式碼：

<?xml version="1.0" encoding="ISO-8859-1"?>
 <!DOCTYPE foo [
   <!ELEMENT foo ANY >
   <!ENTITY xxe SYSTEM "file:///c:/boot.ini" >]><foo>&xxe;</foo>

處理 XML 時，<foo> 元素的內容會填入系統 boot.ini 檔案的內容。攻擊者可能利用傳回到用戶端的 XML 元素竊取資料或取得資訊，以便知道有哪些網路資源。

XML Injection 發生於：

1. 資料從一個不可信賴的來源進入程式。

2. 將資料寫入 XML 文件。

應用程式通常使用 XML 來儲存資料或傳送訊息。應用程式會將用來儲存資料的 XML 文件視為資料庫，因此文件中可能會包含敏感資訊。XML 訊息通常用於 Web 服務，可用來傳送敏感資訊。XML 訊息甚至可用於傳送驗證憑證。

如果攻擊者有能力撰寫未經處理的 XML，即有可能修改 XML 文件和訊息的語義。在大部分不具惡意的情況中，攻擊者可能會插入外來的標籤，並造成 XML 解析器拋出一個異常。在較為惡意的 XML injection 情況下，攻擊者可能會新增 XML 元素，以此來變更驗證憑證或修改 XML 電子商務資料庫中之價格。在某些情況下，XML injection 可能導致 cross-site scripting 或 Dynamic Code Evaluation。

範例 1：

假設攻擊者能控制以下 XML 中的 shoes。

<order>
    <price>100.00</price>
    <item>shoes</item>
</order>

現在假設此 XML 包含在要求訂購一雙鞋子的後端 Web 服務要求中。假設攻擊者修改其要求並以 shoes 取代 shoes</item><price>1.00</price><item>shoes。新的 XML 會變成：

<order>
    <price>100.00</price>
    <item>shoes</item><price>1.00</price><item>shoes</item>
</order>

使用 SAX 解析器時，第二個 <price> 的值會覆寫第一個 <price> 標籤的值。因此攻擊者將能以 1 美元購買一雙價值 100 美元的鞋子。

XML Injection 發生於：

1. 資料從一個不可信賴的來源進入程式。

2.將資料寫入 XML 文件或剖析為 XML。

應用程式通常使用 XML 來儲存資料或傳送訊息。應用程式會將用來儲存資料的 XML 文件視為資料庫，因此文件中可能會包含敏感資訊。XML 訊息通常用於 Web 服務，可用來傳送敏感資訊。XML 訊息甚至可用於傳送驗證憑證。

如果攻擊者有能力撰寫未經處理的 XML，即有可能修改 XML 文件和訊息的語義。在大部分不具惡意的情況中，攻擊者可能會插入外來的標籤，並造成 XML 解析器拋出一個異常。在較為惡意的 XML injection 情況下，攻擊者可能會新增 XML 元素，以此來變更驗證憑證或修改 XML 電子商務資料庫中之價格。在某些情況下，XML injection 可能導致 cross-site scripting 或 Dynamic Code Evaluation。

範例 1：

假設攻擊者能控制以下 XML 中的 shoes。

<order>
    <price>100.00</price>
    <item>shoes</item>
</order>

現在假設此 XML 包含在要求訂購一雙鞋子的後端 Web 服務要求中。假設攻擊者修改其要求並以 shoes 取代 shoes</item><price>1.00</price><item>shoes。新的 XML 會變成：

<order>
    <price>100.00</price>
    <item>shoes</item><price>1.00</price><item>shoes</item>
</order>

使用 SAX 解析器時，第二個 <price> 的值會覆寫第一個 <price> 標籤的值。因此攻擊者將能以 1 美元購買一雙價值 100 美元的鞋子。

XML Injection 發生於：

1.資料從一個不可信賴的來源進入程式。

2.將資料寫入 XML 文件或剖析為 XML。

應用程式通常使用 XML 來儲存資料或傳送訊息。應用程式會將用來儲存資料的 XML 文件視為資料庫，因此文件中可能會包含敏感資訊。XML 訊息通常用於 Web 服務，可用來傳送敏感資訊。XML 訊息甚至可用於傳送驗證憑證。

如果攻擊者有能力撰寫未經處理的 XML，即有可能修改 XML 文件和訊息的語義。在大部分不具惡意的情況中，攻擊者可能會插入外來的標籤，並造成 XML 解析器拋出一個異常。在較為惡意的 XML injection 情況下，攻擊者可能會新增 XML 元素，以此來變更驗證憑證或修改 XML 電子商務資料庫中之價格。在某些情況下，XML injection 可能導致 Cross-site scripting 或 Dynamic code 評估。

範例 1：

假設攻擊者能控制以下 XML 中的 shoes。

<order>
   <price>100.00</price>
   <item>shoes</item>
</order>

現在假設此 XML 包含在要求訂購一雙鞋子的後端 Web 服務要求中。假設攻擊者修改其要求並以 shoes 取代 shoes</item><price>1.00</price><item>shoes。新的 XML 會變成：

<order>
    <price>100.00</price>
    <item>shoes</item><price>1.00</price><item>shoes</item>
</order>

使用 SAX 解析器時，第二個 <price> 的值會覆寫第一個 <price> 標籤的值。因此攻擊者將能以 1 美元購買一雙價值 100 美元的鞋子。

XML Injection 發生於：

1. 資料從一個不可信賴的來源進入程式。


2. 將資料寫入 XML 文件。

應用程式通常使用 XML 來儲存資料或傳送訊息。應用程式會將用來儲存資料的 XML 文件視為資料庫，因此文件中可能會包含敏感資訊。XML 訊息通常用於 Web 服務，可用來傳送敏感資訊。XML 訊息甚至可用於傳送驗證憑證。

如果攻擊者有能力撰寫未經處理的 XML，即有可能修改 XML 文件和訊息的語義。在大部分不具惡意的情況中，攻擊者可能會插入外來的標籤，並造成 XML 解析器拋出一個異常。在較為惡意的 XML injection 情況下，攻擊者可能會新增 XML 元素，以此來變更驗證憑證或修改 XML 電子商務資料庫中之價格。在某些情況下，XML injection 可能導致 cross-site scripting 或 Dynamic Code Evaluation。

範例 1：

假設攻擊者能控制以下 XML 中的 shoes。

<order>
   <price>100.00</price>
   <item>shoes</item>
</order>

現在假設此 XML 包含在要求訂購一雙鞋子的後端 Web 服務要求中。假設攻擊者修改其要求並以 shoes 取代 shoes</item><price>1.00</price><item>shoes。新的 XML 會變成：

<order>
    <price>100.00</price>
    <item>shoes</item><price>1.00</price><item>shoes</item>
</order>

使用 SAX 解析器時，第二個 <price> 的值會覆寫第一個 <price> 標籤的值。因此攻擊者將能以 1 美元購買一雙價值 100 美元的鞋子。

XPath Injection 發生於：

1. 資料從一個不可信賴的來源進入程式。



2. 使用資料並以動態方式建構 XPath 查詢。

範例 1：以下程式碼會動態建構並執行一個 XPath 查詢，以取得指定帳戶 ID 的電子郵件地址。由於帳戶 ID 是讀取自 HTTP 要求，因此無法受到信任。

...
string acctID = Request["acctID"];
string query = null;
if(acctID != null) {
       StringBuffer sb = new StringBuffer("/accounts/account[acctID='");
       sb.append(acctID);
       sb.append("']/email/text()");
       query = sb.toString();
}

XPathDocument docNav = new XPathDocument(myXml);
XPathNavigator nav = docNav.CreateNavigator();
nav.Evaluate(query);
...

正常情況下，例如搜尋屬於 1 號帳戶的電子郵件地址時，此程式碼執行的查詢將會如以下所示：

/accounts/account[acctID='1']/email/text()

但是，由於這個查詢是連續固定基礎查詢字串和使用者輸入字串所動態建構而成的，所以只有在 acctID 沒有包含單引號字元的時候，查詢才會正確執行。如果攻擊者為 acctID 輸入字串 1' or '1' = '1，那麼查詢將會變更為：

/accounts/account[acctID='1' or '1' = '1']/email/text()

附加條件 1' or '1' = '1 會使 where 子句的評估永遠為 True，所以此查詢在邏輯上可等同於以下較簡化的查詢：

//email/text()

由於查詢必須只會傳回驗證使用者所擁有的項目，但簡化查詢會讓攻擊者不再受到此要求所限制；因此，查詢現在將會傳回所有儲存在文件中的電子郵件地址，而不考慮指定的擁有者為何。

XPath Injection 發生於：

1. 資料從一個不可信賴的來源進入程式。




2. 使用資料並以動態方式建構 XPath 查詢。

範例 1：以下 Objective-C 程式碼會呼叫 C API，以動態方式建構並執行 XPath 查詢，以擷取指定帳戶 ID 的電子郵件地址。由於帳戶 ID 是讀取自 HTTP 要求，因此無法受到信任。

...
    NSString *accountStr = account.text;

    xmlXPathContextPtr xpathCtx;
    NSString *query = @"/accounts/account[actId='" + accountStr + @"']/email/text()";

    xpathCtx = xmlXPathNewContext(doc);

    /* Evaluate XPath expression */
    xmlChar *queryString =
        (xmlChar *)[query cStringUsingEncoding:NSUTF8StringEncoding];
    xpathObj = xmlXPathEvalExpression(queryString, xpathCtx);
...

正常情況下，例如搜尋屬於 1 號帳戶的電子郵件地址時，此程式碼執行的查詢將會如以下所示：

/accounts/account[acctID='1']/email/text()

但是，由於這個查詢是連續固定基礎查詢字串和使用者輸入字串所動態建構而成的，所以只有在 acctID 沒有包含單引號字元的時候，查詢才會正確執行。如果攻擊者為 acctID 輸入字串 1' or '1' = '1，那麼查詢將會變更為：

/accounts/account[acctID='1' or '1' = '1']/email/text()

附加條件 1' or '1' = '1 會使 where 子句的評估永遠為 True，所以此查詢在邏輯上可等同於以下較簡化的查詢：

//email/text()

由於查詢必須只會傳回驗證使用者所擁有的項目，但簡化查詢會讓攻擊者不再受到此要求所限制；因此，查詢現在將會傳回所有儲存在文件中的電子郵件地址，而不考慮指定的擁有者為何。

XPath Injection 發生於：

1. 資料從一個不可信賴的來源進入程式。



2. 使用資料並以動態方式建構 XPath 查詢。

範例 1：以下程式碼會動態建構並執行一個 XPath 查詢，以取得指定帳戶 ID 的電子郵件地址。由於帳戶 ID 是讀取自 HTTP 要求，因此無法受到信任。

query = "/accounts/account[acctID='" & url.acctID & "']/email/text()";
selectedElements = XmlSearch(myxmldoc, query);

正常情況下，例如搜尋屬於 1 號帳戶的電子郵件地址時，此程式碼執行的查詢將會如以下所示：

/accounts/account[acctID='1']/email/text()

但是，由於這個查詢是連續固定基礎查詢字串和使用者輸入字串所動態建構而成的，所以只有在 acctID 沒有包含單引號字元的時候，查詢才會正確執行。如果攻擊者為 acctID 輸入字串 1' or '1' = '1，那麼查詢將會變更為：

/accounts/account[acctID='1' or '1' = '1']/email/text()

附加條件 1' or '1' = '1 會使 where 子句的評估永遠為 True，所以此查詢在邏輯上可等同於以下較簡化的查詢：

//email/text()

由於查詢必須只會傳回驗證使用者所擁有的項目，但簡化查詢會讓攻擊者不再受到此要求所限制；因此，查詢現在將會傳回所有儲存在文件中的電子郵件地址，而不考慮指定的擁有者為何。

XPath Injection 發生於：

1. 資料從一個不可信賴的來源進入程式。




2. 使用資料並以動態方式建構 XPath 查詢。

範例 1：以下程式碼會動態建構並執行一個 XPath 查詢，以取得指定帳戶 ID 的電子郵件地址。由於帳戶 ID 是讀取自 HTTP 要求，因此無法受到信任。

...
    NSString *accountStr = account.text;

    xmlXPathContextPtr xpathCtx;
    NSString *query = @"/accounts/account[actId='" + accountStr + @"']/email/text()";

    xpathCtx = xmlXPathNewContext(doc);

    /* Evaluate XPath expression */
    xmlChar *queryString =
        (xmlChar *)[query cStringUsingEncoding:NSUTF8StringEncoding];
    xpathObj = xmlXPathEvalExpression(queryString, xpathCtx);
...

正常情況下，例如搜尋屬於 1 號帳戶的電子郵件地址時，此程式碼執行的查詢將會如以下所示：

/accounts/account[acctID='1']/email/text()

但是，由於這個查詢是連續固定基礎查詢字串和使用者輸入字串所動態建構而成的，所以只有在 acctID 沒有包含單引號字元的時候，查詢才會正確執行。如果攻擊者為 acctID 輸入字串 1' or '1' = '1，那麼查詢將會變更為：

/accounts/account[acctID='1' or '1' = '1']/email/text()

附加條件 1' or '1' = '1 會使 where 子句的評估永遠為 True，所以此查詢在邏輯上可等同於以下較簡化的查詢：

//email/text()

由於查詢必須只會傳回驗證使用者所擁有的項目，但簡化查詢會讓攻擊者不再受到此要求所限制；因此，查詢現在將會傳回所有儲存在文件中的電子郵件地址，而不考慮指定的擁有者為何。

XPath Injection 發生於：

1. 資料從一個不可信賴的來源進入程式。



2. 使用資料並以動態方式建構 XPath 查詢。

範例 1：以下程式碼會動態建構並執行一個 XPath 查詢，以取得指定帳戶 ID 的電子郵件地址。由於帳戶 ID 是讀取自 HTTP 要求，因此無法受到信任。

...
<?php
load('articles.xml');
 
$xpath = new DOMXPath($doc);
$emailAddrs = $xpath->query(&quot;/accounts/account[acctID='&quot; . $_GET[&quot;test1&quot;] . &quot;']/email/text()&quot;);
//$arts = $xpath->evaluate(&quot;/accounts/account[acctID='&quot; . $_GET[&quot;test1&quot;] . &quot;']/email/text()&quot;)
 
foreach ($emailAddrs as $email)
{
    echo $email->nodeValue."";
}
	?>
...

正常情況下，例如搜尋屬於 1 號帳戶的電子郵件地址時，此程式碼執行的查詢將會如以下所示：

/accounts/account[acctID='1']/email/text()

但是，由於這個查詢是連續固定查詢字串和使用者輸入字串所動態建構而成的，所以只有在 acctID 沒有包含單引號字元的時候，查詢才會正確執行。如果攻擊者為 acctID 輸入字串 1' or '1' = '1，那麼查詢將會變更為：

/accounts/account[acctID='1' or '1' = '1']/email/text()

附加條件 1' or '1' = '1 會使 where 子句的評估永遠為 True，所以此查詢在邏輯上可等同於以下較簡化的查詢：

//email/text()

由於查詢必須只會傳回驗證使用者所擁有的項目，但簡化查詢會讓攻擊者不再受到此要求所限制；因此，查詢現在將會傳回所有儲存在文件中的電子郵件地址，而不考慮指定的擁有者為何。

XPath Injection 發生於：

1. 資料從一個不可信賴的來源進入程式。



2. 使用資料並以動態方式建構 XPath 查詢。

範例 1：以下程式碼會動態建構並執行一個 XPath 查詢，以取得指定帳戶 ID 的電子郵件地址。由於帳戶 ID 是讀取自 HTTP 要求，因此無法受到信任。

...
tree = etree.parse('articles.xml')
emailAddrs = "/accounts/account[acctID=" + request.GET["test1"] + "]/email/text()"
r = tree.xpath(emailAddrs)
...

正常情況下，例如搜尋屬於 1 號帳戶的電子郵件地址時，此程式碼執行的查詢將會如以下所示：

/accounts/account[acctID='1']/email/text()

但是，由於這個查詢是連續固定查詢字串和使用者輸入字串所動態建構而成的，所以只有在 acctID 沒有包含單引號字元的時候，查詢才會正確執行。如果攻擊者為 acctID 輸入字串 1' or '1' = '1，那麼查詢將會變更為：

/accounts/account[acctID='1' or '1' = '1']/email/text()

附加條件 1' or '1' = '1 會使 where 子句的評估永遠為 True，所以此查詢在邏輯上可等同於以下較簡化的查詢：

//email/text()

由於查詢必須只會傳回驗證使用者所擁有的項目，但簡化查詢會讓攻擊者不再受到此要求所限制；因此，查詢現在將會傳回所有儲存在文件中的電子郵件地址，而不考慮指定的擁有者為何。

XQuery injection 發生於：

1. 資料從一個不可信賴的來源進入程式。



2. 使用資料以動態方式建構 XQuery 運算式。

範例 1：以下程式碼動態建構並執行可擷取指定使用者名稱和密碼組合的使用者帳戶之 XQuery 運算式。使用者名稱和密碼是從 HTTP 要求讀取，因此不受信賴。

  ...

  String squery = "for \$user in doc(users.xml)//user[username='" + Request["username"] + "'and pass='" + Request["password"] + "'] return \$user";

  Processor processor = new Processor();

  XdmNode indoc = processor.NewDocumentBuilder().Build(new Uri(Server.MapPath("users.xml")));

  StreamReader query = new StreamReader(squery);
  XQueryCompiler compiler = processor.NewXQueryCompiler();
  XQueryExecutable exp = compiler.Compile(query.ReadToEnd());
  XQueryEvaluator eval = exp.Load();
  eval.ContextItem = indoc;

  Serializer qout = new Serializer();
  qout.SetOutputProperty(Serializer.METHOD, "xml");
  qout.SetOutputProperty(Serializer.DOCTYPE_PUBLIC, "-//W3C//DTD XHTML 1.0 Strict//EN");
  qout.SetOutputProperty(Serializer.DOCTYPE_SYSTEM, "http://www.w3.org/TR/xhtml1/DTD/xhtml1-strict.dtd");
  qout.SetOutputProperty(Serializer.INDENT, "yes");
  qout.SetOutputProperty(Serializer.OMIT_XML_DECLARATION, "no");

  qout.SetOutputWriter(Response.Output);
  eval.Run(qout);

  ...
  

正常情況下，例如以適當的使用者名稱和密碼搜尋使用者帳戶，該程式碼執行的運算式如下所示：

for \$user in doc(users.xml)//user[username='test_user' and pass='pass123'] return \$user

但是，由於這個運算式是連續固定基礎查詢字串和使用者輸入字串所動態建構而成的，所以只有在 username 或 password 沒有包含單引號字元的時候，查詢才會正確執行。如果攻擊者為 username 輸入字串 admin' or 1=1 or ''='，那麼查詢將會變更為：

for \$user in doc(users.xml)//user[username='admin' or 1=1 or ''='' and password='x' or ''=''] return \$user

附加條件 admin' or 1=1 or ''=' 會使 XQuery 運算式的評估永遠為 True，所以此查詢在邏輯上可等同於以下較簡化的查詢：

//user[username='admin']

查詢必須符合密碼，但查詢的簡化使攻擊者不再受到此要求所限制；因此，查詢現在會傳回儲存在文件中的管理員使用者，而不再考慮輸入的密碼為何。